--- title: "Glossaire AWS sécurité et FinOps | Silamir Group" description: "Glossaire AWS sécurité et FinOps : IAM, SCP, KMS, CloudTrail, GuardDuty, FSBP, CIS, Savings Plans, Spot, rightsizing. 30 termes définis en quelques phrases." url: https://audit.aws.silamir.com/fr/ressources/glossaire-aws-securite-finops lang: fr updated: 2026-11-08 --- Glossaire # Glossaire AWS sécurité et FinOps : 30 termes expliqués Les 30 termes qui reviennent dans un audit de compte AWS, définis en deux ou trois phrases : identités et accès, protection des données, détection et référentiels, coûts. Chaque définition dit à quoi sert la notion et ce qu'un audit vérifie. Publié le 8 novembre 2026 · 8 min de lecture ## Identités et accès - **IAM (Identity and Access Management)**: Le service AWS qui décide qui peut faire quoi. Il gère les utilisateurs, les groupes, les rôles et les politiques (documents JSON qui autorisent ou refusent des actions sur des ressources). Tout appel à l'API AWS passe par une évaluation IAM. - **Moindre privilège**: Principe qui consiste à n'accorder que les permissions strictement nécessaires à une tâche. Sur AWS, il se traduit par des actions et des ressources nommées plutôt que des jokers `*`, et par la suppression des droits inutilisés. Une politique `"Action": "*"` sur `"Resource": "*"` en est l'exact contraire. - **MFA (authentification multifacteur)**: Second facteur exigé à la connexion en plus du mot de passe : application TOTP, clé FIDO2 ou clé matérielle. Le CIS AWS Foundations Benchmark l'exige pour le compte root et pour tout utilisateur IAM ayant un accès console. - **Rôle cross-account et External ID**: Un rôle IAM qu'un autre compte AWS peut assumer (`sts:AssumeRole`) pour obtenir des identifiants temporaires, sans clé d'accès partagée. L'External ID est une valeur secrète exigée dans la politique d'approbation du rôle : elle empêche un tiers d'abuser du prestataire pour accéder au compte (problème du « confused deputy »). - **SCP (Service Control Policy)**: Politique d'AWS Organizations qui fixe le maximum de permissions possible dans les comptes d'une unité organisationnelle. Une SCP n'accorde aucun droit : elle borne ce que les politiques IAM peuvent autoriser, par exemple interdire de quitter l'organisation ou d'utiliser une région. Elle ne s'applique pas au compte de gestion. - **IAM Access Analyzer**: Service qui détecte les ressources partagées hors du compte ou de l'organisation : bucket S3, rôle IAM, clé KMS, fonction Lambda, file SQS, secret. L'analyse des accès externes est gratuite ; l'analyse des accès inutilisés est payante. ## Protection des données et réseau - **KMS et clé gérée par le client (CMK)**: AWS Key Management Service crée et protège les clés de chiffrement utilisées par S3, EBS, RDS, DynamoDB ou CloudWatch Logs. Une clé gérée par le client a sa propre politique d'accès, sa rotation automatique activable et une trace de chaque usage dans CloudTrail, contrairement aux clés gérées par AWS. - **Security group**: Pare-feu virtuel attaché à une interface réseau (instance EC2, base RDS, tâche Fargate). Il ne contient que des règles d'autorisation et il est à état : la réponse à une connexion autorisée repart sans règle de sortie. Un port d'administration (22, 3389) ouvert à `0.0.0.0/0` est l'un des constats les plus fréquents d'un audit. - **VPC endpoint**: Accès privé à un service AWS depuis un VPC, sans passer par Internet ni par une NAT Gateway. Les endpoints de type gateway (S3, DynamoDB) sont gratuits ; les endpoints de type interface (PrivateLink) sont facturés à l'heure et au Go. Ils réduisent à la fois la surface d'exposition et la facture de trafic. ## Détection et référentiels - **Modèle de responsabilité partagée**: Le partage des rôles entre AWS et son client : AWS sécurise le cloud lui-même (centres de données, matériel, hyperviseur, services managés), le client sécurise ce qu'il met dans le cloud (identités, configuration, données, chiffrement, réseau). Un audit de configuration porte entièrement sur la part du client. - **AWS CloudTrail**: Le journal des appels à l'API AWS : qui a fait quoi, quand, depuis quelle adresse. L'historique des événements de gestion est conservé 90 jours ; au-delà, il faut un trail qui écrit dans un bucket S3, idéalement multirégion, chiffré et avec validation d'intégrité des fichiers. - **AWS Config**: Le service qui enregistre l'état et l'historique de configuration des ressources, et qui l'évalue en continu par des règles (par exemple : volume EBS chiffré, bucket non public). Là où CloudTrail dit qui a modifié une ressource, Config dit à quoi elle ressemblait avant et après. - **AWS Security Hub**: La console qui agrège les constats de sécurité (GuardDuty, Inspector, Access Analyzer, Config) et évalue le compte contre des standards : FSBP, CIS, PCI DSS, NIST SP 800-53. AWS appelle cette partie Security Hub CSPM depuis 2025. Le service ne corrige rien de lui-même. - **Amazon GuardDuty**: Le service de détection des menaces : il analyse les événements CloudTrail, les VPC Flow Logs et les requêtes DNS pour repérer des comportements suspects, comme un appel depuis une adresse malveillante connue, du minage de cryptomonnaie ou une exfiltration de données. - **Amazon Inspector**: Le scanner de vulnérabilités d'AWS : il recherche les CVE connues dans les paquets des instances EC2, des images de conteneur ECR et des fonctions Lambda, et signale les instances joignables depuis Internet. - **FSBP (AWS Foundational Security Best Practices)**: Le standard de sécurité d'AWS dans Security Hub : plus de 200 contrôles service par service, enrichis en continu. Il complète le CIS, plus restreint mais indépendant : voir [FSBP ou CIS, lequel activer](https://audit.aws.silamir.com/fr/ressources/fsbp-vs-cis). - **CIS AWS Foundations Benchmark**: Référentiel de durcissement d'un compte AWS publié par le Center for Internet Security, en cinq sections : IAM, stockage, journalisation, surveillance, réseau. Sa version 5.0 est la plus récente prise en charge par Security Hub : voir le [guide CIS AWS v5.0](https://audit.aws.silamir.com/fr/ressources/guide-cis-aws-v5). - **CVE (Common Vulnerabilities and Exposures)**: L'identifiant public d'une vulnérabilité logicielle, de la forme CVE-2026-12345, accompagné le plus souvent d'un score de gravité CVSS. Savoir quelles ressources d'un compte sont touchées par une CVE critique demande de croiser versions installées et exposition : c'est l'objet de la [veille CVE](https://audit.aws.silamir.com/fr/ressources/veille-cve-aws). - **DAST (test dynamique de sécurité)**: Test d'une application web en fonctionnement, de l'extérieur, comme le ferait un visiteur : en-têtes de sécurité, cookies, pages d'erreur, versions de logiciel affichées. Il complète l'analyse de configuration, qui ne voit pas ce que l'application renvoie réellement. - **Kill chain (chaîne d'attaque)**: L'enchaînement d'étapes qu'un attaquant suivrait pour atteindre son objectif : accès initial, élévation de privilèges, déplacement latéral, exfiltration. Raisonner en kill chains montre comment des constats moyens pris isolément deviennent critiques une fois combinés, et quelle correction casse le plus de chemins à la fois. ## Coûts et FinOps - **FinOps**: La discipline qui rend les équipes responsables de leurs dépenses cloud, avec la finance et les achats. Le cadre de la FinOps Foundation la découpe en trois phases : informer (savoir qui dépense quoi), optimiser, opérer. Voir [comment réduire sa facture AWS](https://audit.aws.silamir.com/fr/ressources/reduire-facture-aws). - **Tags de répartition des coûts**: Étiquettes clé-valeur posées sur les ressources (par exemple `Project`, `Environment`, `CostCenter`) et activées dans la console Billing pour ventiler la facture par projet ou par équipe dans Cost Explorer. Une Tag Policy d'AWS Organizations peut rendre ces tags obligatoires. - **Savings Plans**: Engagement d'un an ou de trois ans sur un montant de dépense horaire, en échange d'une remise : jusqu'à 66 % pour un Compute Savings Plan (EC2, Fargate, Lambda), jusqu'à 72 % pour un EC2 Instance Savings Plan, selon AWS. Voir [Savings Plans ou Reserved Instances](https://audit.aws.silamir.com/fr/ressources/savings-plans-vs-reserved-instances). - **Reserved Instances (RI)**: Réservation d'un an ou de trois ans d'une capacité précise (type d'instance, région) avec remise. Les Savings Plans les remplacent pour EC2, mais les réservations restent le seul levier d'engagement pour RDS, ElastiCache, OpenSearch ou Redshift. - **Instances Spot**: Capacité EC2 inutilisée vendue avec une forte remise (jusqu'à 90 % selon AWS), qu'AWS peut reprendre avec un préavis de deux minutes. Adaptée aux traitements interruptibles : calcul par lots, CI, rendu, nœuds de cluster tolérants. - **Rightsizing (redimensionnement)**: Ajuster la taille d'une ressource à son usage réel, à partir des métriques CloudWatch : une instance qui plafonne à 10 % de CPU peut descendre d'une ou deux tailles. AWS Compute Optimizer produit ces recommandations pour EC2, EBS, Lambda et ECS sur Fargate. - **Ressource inutilisée (orpheline)**: Une ressource facturée qui ne sert plus : volume EBS détaché, snapshot dont le volume a disparu, adresse IP publique sans usage, load balancer sans trafic. C'est le gisement d'économie le plus rapide à récupérer : voir la [checklist des ressources inutilisées](https://audit.aws.silamir.com/fr/ressources/ressources-aws-inutilisees). - **NAT Gateway**: Passerelle managée qui permet aux sous-réseaux privés de sortir vers Internet. Elle est facturée à l'heure dans chaque zone de disponibilité et au Go traité, y compris vers S3 ou DynamoDB quand aucun endpoint gateway n'existe : voir le [coût d'une NAT Gateway](https://audit.aws.silamir.com/fr/ressources/cout-nat-gateway-aws). - **gp3 (volume EBS)**: La génération actuelle de volumes EBS SSD à usage général : environ 20 % moins chère au Go que gp2, avec 3 000 IOPS et 125 Mo/s de base quelle que soit la taille. La migration depuis gp2 se fait à chaud, sans arrêt de l'instance. - **Taux de couverture et d'utilisation des engagements**: Deux indicateurs suivis dans Cost Explorer. La couverture mesure la part de l'usage éligible payée au tarif engagé (Savings Plans, réservations) ; l'utilisation mesure la part de l'engagement réellement consommée. Une utilisation sous 100 % signifie que l'on paie un engagement qui ne sert pas. ## Où ces notions apparaissent dans l'audit - Les termes des trois premières parties structurent l'[audit de sécurité AWS](https://audit.aws.silamir.com/fr/audit-securite-aws) : chaque constat cite le contrôle FSBP ou CIS concerné et la ressource en cause (ARN). - Les termes FinOps structurent l'[audit FinOps AWS](https://audit.aws.silamir.com/fr/audit-finops-aws) : chaque action chiffre le gain mensuel attendu. - Les kill chains relient les deux : elles priorisent les corrections qui cassent le plus de chemins d'attaque. ## Questions fréquentes **Quelle différence entre CloudTrail et AWS Config ?** CloudTrail enregistre les actions (qui a appelé quelle API, quand, d'où). AWS Config enregistre les états (la configuration d'une ressource à chaque instant) et les évalue par des règles. Pour une enquête, on utilise les deux : Config montre ce qui a changé, CloudTrail qui l'a changé. **GuardDuty, Inspector, Security Hub : lequel fait quoi ?** GuardDuty détecte des comportements suspects dans les journaux. Inspector cherche des vulnérabilités logicielles (CVE) dans les instances, images et fonctions. Security Hub agrège leurs constats et évalue la configuration du compte contre FSBP et CIS. Les trois sont complémentaires. **Savings Plans ou Reserved Instances : que choisir ?** Pour EC2, Fargate et Lambda, les Savings Plans offrent la même remise avec plus de souplesse. Les réservations restent nécessaires pour RDS, ElastiCache, OpenSearch et Redshift. Dans les deux cas, on s'engage après le rightsizing et le ménage, pas avant : sinon on réserve du gaspillage. ## Où en est votre compte AWS ? Dix questions, trois minutes, sans accès à votre compte : un score sécurité, un score FinOps et l'article à lire pour chacun de vos trois points les plus faibles. Vos réponses restent dans votre navigateur. [Faire l'auto-diagnostic gratuit](https://audit.aws.silamir.com/fr/ressources/auto-diagnostic-aws) ## À lire aussi - **[Guide CIS v5.0](https://audit.aws.silamir.com/fr/ressources/guide-cis-aws-v5)**: CIS AWS Foundations Benchmark v5.0 : contrôles IAM, stockage, journalisation, surveillance et réseau, nouveautés et passage depuis v3.0 dans Security Hub. - **[Réduire sa facture AWS](https://audit.aws.silamir.com/fr/ressources/reduire-facture-aws)**: 15 leviers pour réduire votre facture AWS, classés par gain et par effort : rightsizing, Savings Plans, gp3, NAT Gateway, ressources inutilisées. Commandes CLI. - **[FSBP ou CIS](https://audit.aws.silamir.com/fr/ressources/fsbp-vs-cis)**: FSBP ou CIS AWS Foundations v5.0 dans Security Hub : objectifs, périmètre, contrôles communs, différences et lequel activer en premier. Comparatif en tableau. ## Prêt à auditer votre compte AWS ? Souscrivez sur AWS Marketplace, déployez le rôle en lecture seule et recevez vos rapports dans l'heure. [Souscrire sur AWS Marketplace](https://aws.amazon.com/marketplace/pp/prodview-llvpm5sa4mljs) · [Voir le fonctionnement](https://audit.aws.silamir.com/fr/fonctionnement)